十条概念区分信息安全和隐私保护.pdfVIP

信息安全企业：联软科技为您整理！ 十条概念区分信息安全和隐私保护 安全和隐私的区别在哪里？由于缺乏统一认可的标准，许多企业的客户或领导人都会对一些信息安全 专业的名词感到困惑，他们不明白这些专业名词之间的区别是什么，相似之处又是什么？ 对于一些企业的领导人来说，理解这些名词的真正意义非常重要，可以帮助他们在信息保护和隐私管 理方面做出正确的决策。那么，安全和隐私的区别在哪里呢？下面的十条概念能够帮助大家更好的理解二 者的不同： 1. 安全是过程，隐私是结果。 2. 安全是行动，隐私是成功行动后的结果。 3. 安全是问题，隐私是对问题的预判。 4. 安全是战略，隐私是成果。 5. 隐私是存在的一种状态，安全是支撑这种存在的构成。 6. 安全是战术策略，隐私是这种战术策略的目标。 7. 安全是密函，隐私是密函中信息的成功递付。 8. 安全能够保证信息的机密性，隐私则常常需要这种机密性。 9. 隐私远不止是法律问题，安全远不止是技术问题。 10. 信息安全是聚焦于信息资产的安全工具和安全行为，隐私保护则是利用这些资产对个人信息的使 用和保护。 这十条概念基本上可以帮助我们理解一般意义上的安全与隐私的区别，但除了这些还需要注意以下三 点： 一、“加密确保隐私”的说法不全面 简而言之，加密只是一种保护信息的安全手段。它当然可以防止未授权的实体看到个人隐私或说个人 信息，但隐私所包含的内容远不止这些可以轻易隐藏掉的信息。 如个人信息的使用、分享，访问，对信息如何被使用及分享的选择权、清除权等等。企业或机构需要 一个综合的隐私保护框架来确保所有的隐私准则被囊括在内，依据并执行。下面是一些主流的，广泛得到 认可的隐私框架： • 经合组织（OECD ）隐私保护准则（2013 更新） • AICPA/CICA 公认隐私保护准则（GAPP ） • 美国公平信息实践准则（FIPs） • 亚太经合组织（APEC ）隐私保护框架 • 澳大利亚国家隐私保护准则 上述隐私政策实用有效，而且已经得到良好的实施，是非常不错的参考资料。尤其是OECD 和GAPP， 在隐私影响评估方面很有借鉴意义。 二、“隐私保护主要与法律相关，而安全则属于IT 范畴”的说法不正确 需要特别注意的是，过去的隐私保护法都是在大量的破坏个人隐私和招致负面影响的隐私事件发生 后制定的，因此，在某个方面没有制定隐私法不代表该方面就没有隐私风险。 比如和隐私问题密切相关的大数据分析和物联网，目前的隐私法并没有覆盖到如此宽泛的隐私风险 领域，但我们知道，在这些领域存在着许多个人信息的隐患。粗略的估计，隐私法顶多只涵盖了50%到60% 的隐私风险。 而信息安全也不仅仅是保护IT 资产，它还包括印刷品、音频、视频等各种存储形式的信息。除了保 护个人隐私，它还包括各种类型的信息资产，信息的生命周期等相关信息。以下是三种隐私信息保护的范 围： 信息安全企业：联软科技为您整理！ • 技术相关（许多机构错误的认为，这是唯一与企业隐私保护相关的领域）。 • 管理相关（包括信息安全管理活动、政策、支持、培训、意识，以及所有与人类活动有关的行为）。 • 实体相关（对信息存储的各种形式和各种介质的保护）。 三、“安全与隐私有冲突”的说法通常不正确 经常有人说，安全与隐私不可兼得，这是非常错误的观念，信息安全控制的目标就是要完成对隐私 的保护。 很多人都认为信息安全与安全保护是一回事，比如美国国家安全局大范围对电话监听，社交媒体 Facebook 跟踪所有的用户活动等等。当然，上述的这两种行为的确造成了安全与隐私的冲突，可是这些行 为本身并不符合严格意义上的信息安全活动，即便在这些监控和跟踪活动中还可能使用了信息安全工具。 正如隐私保护需要信息安全工具一样，这些工具也可以被用来支持许多其他方面的工作。正是这些 “其他”方面的工作与隐私保护产生了冲突，而不是信息安全本身。 信息安全和隐私保护有许多重叠的地方，但最终二者相关的行为和目标都有所不同。对于信息安全 人员来说，要对所有